POLÍTICA GENERAL DE PROTECCIÓN DE DATOS PERSONALES

Transcripción

1 POLÍTICA GENERAL DE PROTECCIÓN DE DATOS PERSONALES DESYSTEC SAS Fecha última revisión: 22 de Septiembre de 2017

2 1. Resumen Ejecutivo En cumplimiento de lo establecido en la Ley Estatutaria 1581 de 2012 y sus decretos reglamentarios posteriores, la cual tiene por objeto garantizar los derechos constitucionales, así como el derecho de las personas a conocer, actualizar y rectificar la información que repose sobre ellas en bases de datos o archivos, se desarrolla el presente documento como política general aplicable a las bases de datos sobre las que es responsable Desystec SAS, en adelante LA COMPAÑÍA. El objetivo es poner a disposición de los titulares de los datos y de otros interesados, un documento con las políticas de tratamiento de la información y los datos personales recolectados como parte de las actividades comerciales desarrolladas por LA COMPAÑÍA. En el presente documento se resumen los derechos consagrados en la ley y en la constitución, las finalidades del tratamiento, los canales de comunicación disponibles para atender consultas y reclamos. El titular del dato o responsable ante los titulares del dato, autoriza de manera previa, expresa e informada el tratamiento de sus datos conforme lo dispuesto en la presente política. 2. Generalidades 2.1 Marco Legal Constitución política, artículo 15. Ley 1266 de Ley 1581 de Decretos reglamentarios 1727 de 2009 y 2952 de 2010, y 1377 de Sentencias de la Corte Constitucional C 1011 de 2008 y C-748 del Origen de la información Los datos personales que son objeto de tratamiento por parte de LA COMPAÑÍA pueden provenir del uso de los portales desystec.com, desysteconline.com y depias.com, de negociaciones comerciales, cuando sean proporcionados de forma verbal o a través de la utilización de nuestros productos de software. 2.3 Terminología básica Base de datos: Conjunto organizado de datos que sea objeto de tratamiento. Titular del dato: Persona natural cuyos datos personales sean objeto de tratamiento. Tratamiento: Cualquier operación o conjunto de operaciones sobre datos, tales como la recolección, almacenamiento, uso, circulación o supresión. Responsable del tratamiento: Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, decida sobre la base de datos y/o el tratamiento de los datos. Encargado del tratamiento: Persona natural o jurídica, pública o privada que por sí misma o en asocio con otros realice el Tratamiento de datos personales por cuenta del Responsable del tratamiento. Usuario: Sujeto involucrado en el tratamiento del dato. Dato público: dato que no sea semiprivado, privado o sensible. Ej. Estado civil, profesión u oficio, datos relativos a comerciantes y servidores públicos. Página 1 de 7

3 Dato privado: es el que por su naturaleza íntima o reservada solo es relevante para el titular. Dato sensible: aquellos que afectan la intimidad del titular o cuyo uso indebido puede generar su discriminación, tales como aquellos que revelen el origen racial o étnico, la orientación política, las convicciones religiosas o filosóficas, la pertenencia a sindicatos, organizaciones sociales de derechos humanos o que promueva intereses de cualquier partido político o que garanticen los derechos y garantías de partidos políticos de oposición, así como los datos relativos a la salud, a la vida sexual y los datos biométricos. Transmisión: Comunicación de datos personales dentro o fuera de Colombia para el tratamiento por el encargado por cuenta del responsable. Transferencia: Comunicación de datos personales a otro receptor que a su vez actúa como responsable ubicado por fuera de Colombia. Aviso de privacidad: Comunicación verbal o escrita generada para informar al titular o responsable del tratamiento, las políticas que tiene Desystec SAS al respecto, incluyendo el alcance del tratamiento, la finalidad y los canales de atención a solicitudes y reclamos. 2.4 Derechos de los titulares LA COMPAÑÍA reconoce y garantiza, entre otros, los siguientes derechos de los titulares de datos personales: Acceder, conocer, actualizar, rectificar o suprimir sus datos personales frente a LA COMPAÑÍA como responsable o encargado del Tratamiento. Solicitar prueba de la autorización otorgada para el tratamiento de sus datos, salvo en los casos exceptuados por la ley. Recibir información sobre el uso de sus datos personales. Modificar y revocar la autorización de los datos personales. 2.5 Deberes como responsable o encargado LA COMPAÑÍA, así como sus colaboradores directos y terceros que actúen como proveedores debe cumplir los siguientes deberes y demás disposiciones previstas en la ley: Garantizar al titular todos los derechos mencionados anteriormente y otros consagrados en la ley. Solicitar y conservar, en las condiciones previstas en la ley, copia de la autorización otorgada por el titular. Dar cumplimiento a los principios rectores del tratamiento de datos personales. 2.6 Principios rectores del tratamiento de datos personales Principio de legalidad: El tratamiento de datos en LA COMPAÑÍA debe obedecer a fines legítimos y debe sujetarse a lo establecido en la Ley. Principio de finalidad: El tratamiento debe obedecer a las finalidades dispuestas en las políticas de tratamiento de la información y únicamente para la realización de las actividades encargadas por el responsable o titular de la información. Página 2 de 7

4 Principio de libertad: El tratamiento solo se ejercerá con consentimiento, previo, expreso e informado del titular. Los datos no podrán ser divulgados sin el consentimiento previo o autorización judicial. Principio de veracidad o calidad: La información tratada deberá ser veraz, completa, exacta, actualizada, comprobable y comprensible. Principio de transparencia: LA COMPAÑÍA garantiza a todos los titulares de datos el derecho a acceder y conocer la información de ellos que está siendo objeto de tratamiento. Principio de acceso y circulación restringida: El acceso a la información será restringido de acuerdo con la naturaleza del dato, las autorizaciones del titular y los procedimientos definidos en el presente manual. Principio de seguridad: La información tratada por LA COMPAÑÍA será protegida con las medidas técnicas, humanas y administrativas necesarias para evitar su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento. Principio de confidencialidad: LA COMPAÑÍA garantiza la reserva de la información durante y después de finalizado el tratamiento de los datos. Los datos solo podrán ser comunicados a terceros cuando la ley lo permita o previa autorización del titular. Conservación: Una vez finalizado el tratamiento para la cual fue recolectado el dato personal LA COMPAÑÍA cesará su uso y por ende adoptará las medidas pertinentes para asegurar su eliminación. Para tal fin se tendrán en cuenta las obligaciones de ley comercial en materia de conservación de libros de comercio y correspondencia del comerciante. No obstante, lo datos en caso de considerarse necesario podrán permanecer en las bases de datos de LA COMPAÑÍA. cuando se requieran para dar cumplimiento a un deber legal u orden judicial, así mismo cuando su tratamiento se limite a su conservación para fines históricos o estadísticos. 3. Canales de comunicación Los siguientes canales de comunicación están a disposición de los clientes y titulares de los datos para cualquier duda, queja o solicitud asociada a sus derechos según lo contemplado por la ley 1581 de Correo electrónico: atencioncliente@desysteconline.com PBX en Bogotá: Correspondencia a la Calle 140 No. 10a-48 Oficina 510. Para atender efectivamente sus solicitudes en torno al tratamiento de sus datos, los titulares deben completar con la información solicitada, el formato de Reclamaciones para tratamiento de datos personales disponible en los portales web desystec.com y desysteconline.com. Una vez recibido el formato completo a través de alguno de los canales de comunicación mencionados, LA COMPAÑÍA dará respuesta a su solicitud dentro del plazo máximo establecido por la ley. 3.1 Estructura administrativa LA COMPAÑÍA ha designado formalmente a uno de sus funcionarios como Oficial de Privacidad y ha asignado a esta persona las funciones de establecer, mantener y supervisar el cumplimiento en materia de protección de datos y privacidad. Lo anterior incluye la atención a las solicitudes de los titulares, así como una coordinación de las demás áreas de la empresa en torno al desarrollo de actividades de implementación y mejora continua del Programa integral de tratamiento de datos. Página 3 de 7

5 4. Finalidades tratamiento prospectos de clientes Los datos personales conservados dentro de las bases de datos de prospección comercial de LA COMPAÑÍA podrán ser utilizados para: 1) Mantener a los interesados informados respecto a las condiciones de prestación de servicios tecnológicos. 2) Ofrecer productos y servicios de la compañía a través de los canales de comunicación disponibles con los titulares. 3) Enviar comunicaciones informativas y con material publicitario respecto de los productos y servicios de la compañía. 4) Enviar invitaciones a congresos, capacitaciones, seminarios, talleres y demás eventos organizados por la compañía. 5) Realizar control y seguimiento a las demostraciones y pruebas de concepto de los productos y servicios de la compañía. 6) Efectuar los demás procedimientos administrativos requeridos para el desarrollo de la potencial relación comercial entre el titular y la compañía. 5. Finalidades tratamiento clientes, usuarios y otros terceros Los datos personales conservados dentro de las bases de datos de LA COMPAÑÍA podrán ser utilizados para: 1) Mantener a los clientes y demás interesados informados respecto a las condiciones de prestación de servicios tecnológicos. 2) Informar sobre actualizaciones en nuestros productos o servicios. 3) Control del licenciamiento de los productos de software. 4) Ofrecer Información relevante adicional sobre nuestros productos o servicios. 5) Enviar publicidad asociada a los productos de la compañía, realización de encuestas, análisis estadísticos y de tendencias de mercado. 6) En virtud del desarrollo de la relación contractual que vincula a la compañía con el cliente. 7) Para el cobro de cartera. 8) Con el fin de adoptar medidas para prevenir el desarrollo de actividades ilícitas y para otros fines tributarios de acuerdo con lo dispuesto por la ley. 9) Para la prestación de los servicios de soporte y asesoría técnica sobre nuestros productos y servicios. 10) Para la realización de pruebas de software y la reproducción de escenarios de error sobre nuestros productos o servicios. 11) Desarrollar procesos administrativos internos para gestionar las relaciones con proveedores y contratistas. 12) Cumplir con las obligaciones en materia tributaria y legal propias del desarrollo de la actividad comercial de la compañía. 13) Efectuar procesos de selección de candidatos para ocupar las vacantes laborales de la compañía. Incluyendo la comunicación con los candidatos, el envío de información relevante a estos, la Página 4 de 7

6 verificación de referencias, la realización de entrevistas y la realización de pruebas técnicas y psicológicas. Es deber del cliente garantizar la veracidad de los datos facilitados por él y de aquellos por los que es responsable. LA COMPAÑÍA se reserva el derecho de tomar las medidas necesarias en caso de falsedad o inexactitud de dichos datos. LA COMPAÑÍA ha adoptado las medidas de seguridad a su alcance, a nivel técnico y administrativo con miras a proteger los datos bajo su responsabilidad, sin embargo, el cliente debe entender que dichas medidas no son inexpugnables y están en un proceso de revisión y mejora permanente. Con el objetivo de prestar un servicio de calidad, eficiente y seguro, la infraestructura tecnológica en donde están alojados los diferentes sistemas y bases de datos podrá estar localizada fuera del territorio colombiano. Por lo anterior, el titular o responsable de la información en cuestión, autoriza a LA COMPAÑÍA para que en caso de ser necesario dicha información sea transferida a centros de datos ubicados en los Estados Unidos de Norteamérica y Canadá, países de Latinoamérica, Europa y cualquier país que se considere adecuado para el tratamiento de los datos o su almacenamiento. 6. Tratamiento empleados Los datos personales de los trabajadores, contratistas, sus beneficiarios, grupo familiar y referencias personales, conservados dentro de las bases de datos de LA COMPAÑÍA podrán ser utilizados para: 1) El desarrollo de las relaciones contractuales laborales entre LA COMPAÑÍA y el trabajador o contratista. 2) El cumplimiento de las disposiciones legales vigentes, en torno a la afiliación al Sistema General de Pensiones, al Sistema General de Seguridad Social en Salud, al Sistema General de Riesgos Laborales y a los Servicios Sociales Complementarios. 3) La implementación del Sistema de Gestión de Seguridad y Salud en el Trabajo. 4) El pago de las obligaciones estipuladas en el contrato y en la legislación vigente aplicable. 5) El reporte de información a entidades de control, gubernamentales o judiciales por solicitud de las mismas. 6) La realización de procesos de selección y evaluación del personal. 7) La adopción de medidas de seguridad y control de acceso a las instalaciones de la compañía. 8) Otras finalidades para dar cumplimiento a lo dispuesto en la legislación laboral aplicable. La compañía conservará la información en medios físicos, electrónicos u otros dispuestos para tal fin, el tiempo necesario para dar cumplimiento a lo dispuesto en la legislación aplicable. Los datos personales de los ex empleados se conservan exclusivamente para el cumplimiento de las siguientes finalidades: i. Dar cumplimiento a la ley colombiana o extranjera y las órdenes de autoridades judiciales, administrativas o entidades privadas en ejercicio de servicios públicos; ii. Emitir certificaciones relativas a la relación del titular del dato con la compañía. iii. Fines estadísticos o históricos La información suministrada por los candidatos a ocupar una vacante y que no haya quedado seleccionado, podrá permanecer almacenada hasta por 2 años o por el tiempo necesario para atender a las disposiciones aplicables. Página 5 de 7

7 Con el objetivo de prestar un servicio de calidad, eficiente y seguro, la infraestructura tecnológica en donde están alojados los diferentes sistemas y bases de datos podrá estar localizada fuera del territorio colombiano. En caso de ser necesario dicha información podrá ser transferida a centros de datos ubicados en los Estados Unidos de Norteamérica y Canadá, países de Latinoamérica, Europa y cualquier país que se considere adecuado para el tratamiento de los datos o su almacenamiento. LA COMPAÑÍA almacenará los datos personales obtenidos durante el proceso de selección de los empleados en una carpeta identificada con el nombre de cada uno de ellos. Esta carpeta física y digital solo será accedida y tratada por el Área Administrativa y con la finalidad de administrar la relación contractual entre LA COMPAÑÍA y el empleado. 7. Sección aplicable a clientes Daytona LA COMPAÑÍA como Encargado del tratamiento de la información depositada en los sistemas de la suite empresarial Daytona Intercloud y Daytona Cyber bajo la licencia de Software como Servicio, tomarán las medidas técnicas, humanas y administrativas razonables para minimizar el riesgo de pérdida, modificación y acceso no autorizado a dicha información. Los clientes que adquieran el servicio, deben cumplir con los principios establecidos por la misma ley en materia de responsabilidad sobre los datos. LA COMPAÑÍA dispone de los canales de comunicación mencionados previamente en este documento, con el fin de atender los requerimientos que se presenten de acuerdo con lo establecido por la ley. 8. Transmisión Internacional LA COMPAÑÍA tiene contratados los servicios de infraestructura tecnológica y procesamiento de información en la nube con el proveedor Amazon Web Services (AWS) en sus datacenters ubicados en los Estados Unidos, Europa, Asia y América del Sur. El proveedor de servicios en la nube Amazon Web Services realiza las siguientes actividades por encargo de LA COMPAÑÍA : Prestar servicios computacionales de procesamiento y almacenamiento de información bajo la modalidad de Infraestructura (IaaS) y Plataforma como servicio (PaaS), entre los cuales se incluyen: servidores virtuales, almacenamiento de objetos, servicios gestionados de bases de datos tecnológicas, servicios de redes y comunicaciones, servicios de envío de correo electrónico, servicios de gestión documental, servicios de seguridad informática. Con miras a garantizar la seguridad de la información entregada al proveedor AWS, LA COMPAÑÍA ha adoptado un conjunto de medidas y controles técnicos y administrativos, documentados en los manuales y políticas internas de LA COMPAÑÍA. 9. Modificaciones y vigencia LA COMPAÑÍA se reserva el derecho de modificar o actualizar la presente política en cualquier momento. Toda modificación se comunicará a los titulares de los datos a través de los medios habituales de contacto y/o a través de los sitios web de la compañía y su entrada en vigencia será 10 días hábiles después de su fecha de actualización. La versión actualizada de la política estará siempre disponible en los portales web de LA COMPAÑÍA en el menú correspondiente. En caso de no estar de acuerdo por Página 6 de 7

8 razones válidas y que se constituyan en una justa causa con las nuevas políticas de tratamiento de datos personales, los titulares de la información o sus representantes podrán solicitar la eliminación de su información a través de los canales indicados anteriormente, sin embargo, no se podrá solicitar el retiro de los datos mientras se mantenga un vínculo comercial, contractual o legal con la LA COMPAÑÍA. Página 7 de 7